対象読者：Claude Code v2.1.309のリリースノートを確認したいエンジニア・AI推進担当者。sandbox設定やMCP連携・GitHub連携を使っている環境で特に確認してほしい修正を整理した。出典はすべてAnthropic公式のリリースノート（v2.1.309、2026-10-22公開）。
この記事の確認ポイント：v2.1.309には40件超のバグ修正が含まれる。特にsandbox関連が9件あり、symlink経由のdenyRule回避・MCP設定ファイルの書き換え可能状態・shell起動ファイルのsandbox外実行など、sandbox化していれば安全という前提が崩れる修正が複数ある。v2.1.310（企業ゲートウェイ互換性修正）と同時期にリリースされたため見落とされやすいが、sandbox環境で動かしている場合は確認が必要。
v2.1.310のリリース記事を書いたあと、さかのぼってv2.1.309のリリースノートを読んだ。修正の数が40件を超えていて、最初は「件数が多いだけで個々は細かいバグだろう」と思っていた。が、sandbox関連の修正を一件ずつ読んでいくうちに感覚が変わった。企業環境でClaude Codeを展開している立場から見ると、「これ、見落としてよかったやつじゃない」という修正がいくつか含まれていた。
v2.1.310は企業ゲートウェイとの互換性改善が主な修正で、それは別の記事にまとめた。v2.1.309はそれより地味だが、sandbox周りのセキュリティ修正という点でむしろ企業ユーザーには影響が大きい。以降、分類して整理する。
sandbox修正（9件）
v2.1.309で最も修正が多かった分野がsandbox関連。条件が複合的で再現しにくいものが多く、使っている環境によっては修正前の状態が続いていた可能性がある。
shell起動ファイルがsandboxの外で実行されていた（macOS・Linux）
Bashコマンドを実行するたびに、shellの起動ファイル（.bashrc・.zshrc・.profileなど）がsandboxの外で実行されていた。ユーザーがsandboxで制限している操作が、起動ファイル経由で実行される余地があった。この修正で、起動ファイルもsandbox内で実行されるようになった。
起動ファイルに副作用のある処理（環境変数のセットや外部APIへのアクセスなど）を書いている環境では、この修正が特に関係する。
symlink経由でdenyルールが回避されていた（3件）
以下の3か所で、対象パスがsymlinkを経由して到達できる場合にルールが適用されないバグがあった。
-
denyWriteのglobパターン：パターンで指定したフォルダにsymlinkで到達できる場合、globパターンが適用されなかった -
Edit(path)のdenyルール：パスへのBashリダイレクトがdenyルールに引っかからないケースがあった - profile storeの書き込み保護：設定ディレクトリにsymlink経由で到達できる場合に書き込み保護が効かなかった
企業環境では、パス構成にsymlinkを使うケースがある。意図してdenyルールを設定していても、symlink構成によっては効いていない状態だった可能性がある。3件とも同じ根本原因（symlinkを展開した実際のパスでルールを評価していなかった）と思われる。
sandboxedコマンドがMCP設定ファイルを書き換えられた
--mcp-configで渡したMCP設定ファイルを、sandboxedコマンドが書き換えられる状態だった。MCP設定ファイルには接続先サーバーの情報や権限設定が含まれており、書き換えられると後続の操作に影響する。この修正でファイルへの書き込みが保護された。
--mcp-configでカスタムMCP設定を渡しているケースでは、設定ファイルが変更されていないか確認しておくと安心。
Bashのpermission checkが想定外の経路を通過させていた（2件）
リダイレクトが開けなかった場合でも、コマンドがセットした変数を信頼してpermission checkを通過するバグがあった（リダイレクト先が開けないなら変数の値も信頼できないはず）。
また、cdをラップしたり前置詞を付けたりした複合コマンドの中でgitを実行する場合に、Bashのpermissionプロンプトが出ないケースがあった。cd /some/path && git statusのようなコマンドでは出るが、cdが特定の方法でラップされていると出ないという条件付きのバグだった。
Worktreeのisolation guardが一部コマンドを通過させていた（2件）
worktree-isolated sessionで、ロケールプレフィックス付きのコマンド（例：LC_ALL=C git ...のような形式）と、zshの算術コマンドの一部がisolation guardを通過していた。どちらもworktreeの外に影響しうる操作をisolation guardが止めるべきケースで、通過してしまっていた。
worktreeのisolationを使っているチームは、このバージョンでisolationが意図通りに効くようになったことを確認しておくとよい。
MCP・disabledサーバーの再接続
一度無効化（disable）したMCPサーバーが、後から来るpermission promptによって再接続されるケースがあった。対象はprint modeとSDK session。
一度disableにしたサーバーは接続しないままであることが期待されるが、permissionフローの中で再接続される状態になっていた。MCPサーバーの設定を厳格に管理している環境では、意図しないサーバーが再接続されていた可能性がある。この修正で、disableにしたサーバーはpermissionフローでも再接続されなくなった。
GitHub連携：意図しないメンションの混入
Claude Codeがissue・PR・コメントにテキストを書くとき、ロール名やプレースホルダー（@adminや{{author}}のような文字列）をGitHubのメンション（@username形式）として書き込んでしまうケースがあった。これにより、ロール名や変数名と同じusernameを持つ実在のGitHubユーザーに通知が届く状態だった。
自動でPRコメントやissueを生成している場合は、過去のコメントに意図しないメンションが混入していないかを確認しておくとよい。今後は関係ない外部ユーザーへの通知は発生しなくなる。
企業ゲートウェイ経由の待機改善
企業ネットワークのセキュリティゲートウェイやプロキシがkeepAlive pingだけを返してHTTPレスポンスを保留するケースで、「Waiting for API response」のヒントが短い間隔でちらついていた。v2.1.309では、Anthropicのバックエンドを経由しないルート（企業ゲートウェイ経由）での待機を45秒に変更した。
v2.1.310での企業ゲートウェイ互換性修正と合わせて、企業ネットワーク越しの動作改善が続いている。
Windows・macOS環境の修正
Windows：PowerShellのcd自動承認バグ
PowerShellのpermission checkで、現在のディレクトリを対象にしたSet-Locationやcdコマンドに追加引数が付いていると自動承認されてしまうケースを修正した。本来は承認プロンプトが出るべきコマンドが通過していた。この修正で、追加引数付きのcd系コマンドにも承認プロンプトが出るようになった。
WindowsでPowerShellを使ってClaude Codeを動かしている環境では、このバグが影響していた可能性がある。
macOS：起動時のダイアログ問題
XcodeやCommand Line Toolsがインストールされていないmacで、Claude Codeを起動するたびに「Install Command Line Developer Tools」ダイアログが開く問題を修正した。Claude Codeを起動するたびにダイアログが出て困っていたユーザーは、このバージョンで改善される。
セルフホステッドランナーの修正
--startup-timeout-minオプションが、最初のプロンプト（/code-reviewなど）をサブエージェントで処理中のセッションを誤って停止させていた。セッションが動いているのに止まってしまう場合は、この修正が関係している可能性がある。この修正で、サブエージェントで処理中のセッションは凍結していない限り停止されなくなった。
git操作の高速化（Windowsで特に効果）
Claude Codeが内部で実行するgitコマンドの速度をWindowsで改善した。また、全プラットフォームで、これらのgitコマンドのエラーメッセージがgitのロケール設定に関わらず英語で表示されるようになった（エラーの原因調査がしやすくなる）。
今回確認したこと
v2.1.309のsandbox修正が9件という数字は、単なるバグ修正の件数を超えた意味がある。symlink経由のdenyRule回避・shell起動ファイルのsandbox外実行・MCP設定ファイルの書き換えは、「sandboxを有効にしていれば安全」という前提が成立しなかったことを意味する。
v2.1.310とほぼ同時にリリースされ、ゲートウェイ互換性のv2.1.310の方が話題になりがちだった。しかしsandboxを使っている企業環境では、v2.1.309の修正の方が影響の大きいケースがある。
まだv2.1.309より前のバージョンで動かしている場合は、v2.1.310を含めて更新しておくことをすすめる。
出典：https://github.com/anthropics/claude-code/releases/tag/v2.1.309（公式リリースノート、2026-10-22）
AIが業務・規制にどう影響するかは以下も参考に。
https://note.com/light_tern636/n/n420a39eb7475